Formal Security Analysis and Improvement of a hash-based - PowerPoint PPT Presentation

Formal ¡Security ¡Analysis ¡and ¡Improvement ¡of ¡ ¡ a ¡hash-­‑based ¡NFC ¡M-­‑coupon ¡Protocol ¡ Ali ¡Alshehri ¡and ¡Steve ¡Schneider ¡

Agenda ¡ • Introduc?on. ¡ ✓ ¡ • Approach ¡ – CasperFDR ¡(example) ¡ – More ¡about ¡the ¡underline ¡theory ¡(CSP) ¡ • Apply ¡to ¡the ¡Hash-­‑based ¡NFC ¡M-­‑coupon ¡ protocols ¡by ¡Hsiang ¡et ¡al. ¡ ¡ – Capturing ¡the ¡requirements: ¡ • In ¡CasperFDR ¡ • From ¡the ¡CSP ¡aspect ¡ ¡ ¡ – Analysis ¡(AIack ¡& ¡solu?ons) ¡ Ali ¡Alshehri ¡2013 ¡

Introduc?on ¡ ¡ • NFC ¡ (Near ¡Field ¡Communica?on). ¡ • NFC ¡mobile ¡coupon ¡protocols. ¡ – The ¡Hash-­‑based ¡M-­‑coupon ¡protocol. ¡ • Formal ¡security ¡analysis. ¡ -­‑ CasperFDR ¡ Ali ¡Alshehri ¡2013 ¡

Agenda ¡ • Introduc?on. ¡ ✓ ¡ ✓ ¡ • Approach ¡ – CasperFDR ¡(example) ¡ – More ¡about ¡the ¡underline ¡theory ¡(CSP) ¡ • Apply ¡to ¡a ¡Hash-­‑based ¡NFC ¡M-­‑coupon ¡protocols ¡ by ¡Hsiang ¡et ¡al. ¡ ¡ – Capturing ¡the ¡requirements: ¡ • In ¡CasperFDR ¡ • From ¡the ¡CSP ¡aspect ¡ ¡ ¡ – Analysis ¡(AIack ¡& ¡solu?ons) ¡ Ali ¡Alshehri ¡2013 ¡

CasperFDR ¡ High ¡level ¡ protocol ¡modeling ¡ CSP ¡ Generate ¡a ¡ Casper ¡ CSP ¡Model ¡ High ¡level ¡ ¡ Interpreta@on ¡of ¡analysis ¡ FDR ¡ FDR ¡result ¡ -­‑ CSP ¡(Communica@ng ¡Sequen@al ¡Processes) : ¡ is ¡a ¡formal ¡language ¡for ¡describing ¡paIerns ¡of ¡interac?on ¡ in ¡concurrent ¡systems. ¡ -­‑ ¡FDR ¡(Failures ¡Divergences ¡Refinement ) ¡ : ¡CSP ¡refinement ¡ checker. ¡ Ali ¡Alshehri ¡2013 ¡

Example ¡ I ¡need ¡a ¡secure ¡ communica?on ¡ with ¡Bob ¡ Alice ¡ Bob ¡ Hi ¡Bob ¡ { Alice,N A, K AB }PK B ¡ Hello ¡Alice! ¡ {N A }K AB ¡ This ¡is ¡Bob ¡for ¡ sure! I ¡believe ¡ ¡ (authen?ca?on). ¡ K AB ¡ is ¡secret ¡ with ¡Alice ¡ K AB ¡ is ¡secret ¡with ¡ Bob Ali ¡Alshehri ¡2013 ¡

Modeling ¡in ¡CasperFDR ¡ Ali ¡Alshehri ¡2013 ¡

Ali ¡Alshehri ¡2013 ¡

Hi ¡Bob ¡ zzzz ¡ ¡I ¡am ¡ Alice! ¡ Alice ¡ Intruder ¡ Bob ¡ { Alice,N m, K MB }PK B ¡ Hi ¡Alice ¡ {N m }K MB ¡ Bob ¡agree ¡ K MB ¡ is ¡secret ¡ with ¡Alice ¡ Alice ¡DOES ¡NOT ¡agree ¡ K MB ¡ is ¡secret ¡with ¡Bob Ali ¡Alshehri ¡2013 ¡

CasperFDR ¡(black-­‑box ¡User) ¡ High ¡level ¡ protocol ¡modeling ¡ CSP ¡ Generate ¡a ¡ Casper ¡ CSP ¡Model ¡ High ¡level ¡ ¡ Interpreta@on ¡of ¡analysis ¡ FDR ¡ FDR ¡result ¡ Ali ¡Alshehri ¡2013 ¡

The ¡CSP ¡theory ¡aspect ¡ '()& !"#$%& *+ !"#$%& $% ' $( )*' (" ./00$01&' *, !"#& $ )' $(" ,"-&()$*+& ! " # !"##$%&' !)2$#34+*5+%& ()$*+&,"-& ! " # ,"-&()$*+& - !' # New ¡events ¡– ¡Independent ¡processes ¡ ¡ Ali ¡Alshehri ¡2013 ¡

The ¡CSP ¡theory ¡aspect ¡ !""#$%&' % , + + $ - * $ % $ ) ( !"#$%&$'# ! " Dolev-­‑Yao ¡model ¡threat ¡ ¡ Ali ¡Alshehri ¡2013 ¡

The ¡CSP ¡theory ¡aspect ¡ !"#$%& -./012%0& '()& *+ !"#$%& '% ( )* +,( *" *, !"#& ' +( )*" !"#$%&'()*(+,- 23/45, 3 *' ! ./0,1"$)(, 3 *' ! Ali ¡Alshehri ¡2013 ¡

Agenda ¡ • Introduc?on. ¡ ✓ ¡ ✓ ¡ • Approach ¡ – CasperFDR ¡(example) ¡ – More ¡about ¡the ¡underline ¡theory ¡(CSP) ¡ • Apply ¡to ¡a ¡Hash-­‑based ¡NFC ¡M-­‑coupon ¡protocols ¡ by ¡Hsiang ¡et ¡al. ¡ ¡ ✓ ¡ – Capturing ¡the ¡requirements: ¡ • In ¡CasperFDR ¡ • From ¡the ¡CSP ¡aspect ¡ ¡ ¡ – Analysis ¡(AIack ¡& ¡solu?ons) ¡ Ali ¡Alshehri ¡2013 ¡

Hash-­‑based ¡M-­‑coupon ¡protocol ¡ /""0#$ !"#$%"&'()*+# ,-".*#$ /5607 ! " '&8&9/5607:&;:&,< '&8&9/5607:&;:&,< 5 1233&34()(#( 12344#$ 1233&34()(#( 12344#$2/5607 =3>!? 6 #*+&%,-./0.'(#()( 12344#$ 1233&34()(#( 12344#$2/56072/56*7 #$%%&'(#()( 12344#$ #$%%&'(#()( 12344#$2/5607 #$%%&'(#()( 12344#$2/56072/56*7 '-++($B 57 '&8&9/5607:&;:&,< #$%%&'(#()( 12344#$ ;&8&/5607& � h[ID(i)] & ,&8&.@&.@/56*7A& � &1& � &344#$&A&&&& Security ¡Requirements: ¡ ¡ -­‑ ¡Confiden?ality ¡ -­‑ ¡Forgery ¡Protec?on: ¡(No ¡Unauthorized ¡Genera?on ¡& ¡No ¡Manipula?on) ¡ -­‑ ¡Unauthorized ¡Copying: ¡(Not ¡Transferable) ¡ ¡ -­‑ ¡Data ¡Integrity ¡ -­‑ ¡No ¡Mul?ple ¡Cash-­‑in ¡ Ali ¡Alshehri ¡2013 ¡

Hash-­‑based ¡M-­‑coupon ¡protocol ¡ /""0#$ !"#$%"&'()*+# ,-".*#$ /5607 ! " '&8&9/5607:&;:&,< '&8&9/5607:&;:&,< 5 1233&34()(#( 12344#$ 1233&34()(#( 12344#$2/5607 =3>!? 6 #*+&%,-./0.'(#()( 12344#$ 1233&34()(#( 12344#$2/56072/56*7 #$%%&'(#()( 12344#$ #$%%&'(#()( 12344#$2/5607 #$%%&'(#()( 12344#$2/56072/56*7 '-++($B 57 '&8&9/5607:&;:&,< #$%%&'(#()( 12344#$ ;&8&/5607& � h[ID(i)] & ,&8&.@&.@/56*7A& � &1& � &344#$&A&&&& Security ¡Requirements: ¡ ¡ In ¡CasperFDR: ¡ -­‑ ¡Confiden?ality ¡ StrongSecret ¡(C, ¡X, ¡Offer ¡, ¡[I]) ¡ -­‑ ¡Forgery ¡Protec?on: ¡(No ¡Unauthorized ¡Genera?on ¡& ¡No ¡Manipula?on) ¡ -­‑ ¡Unauthorized ¡Copying: ¡(Not ¡Transferable) ¡ ¡ -­‑ ¡Data ¡Integrity ¡ -­‑ ¡No ¡Mul?ple ¡Cash-­‑in ¡ Ali ¡Alshehri ¡2013 ¡

Hash-­‑based ¡M-­‑coupon ¡protocol ¡ /""0#$ !"#$%"&'()*+# ,-".*#$ /5607 ! " '&8&9/5607:&;:&,< '&8&9/5607:&;:&,< 5 1233&34()(#( 12344#$ 1233&34()(#( 12344#$2/5607 =3>!? 6 #*+&%,-./0.'(#()( 12344#$ 1233&34()(#( 12344#$2/56072/56*7 #$%%&'(#()( 12344#$ #$%%&'(#()( 12344#$2/5607 #$%%&'(#()( 12344#$2/56072/56*7 '-++($B 57 '&8&9/5607:&;:&,< #$%%&'(#()( 12344#$ ;&8&/5607& � h[ID(i)] & ,&8&.@&.@/56*7A& � &1& � &344#$&A&&&& Security ¡Requirements: ¡ ¡ In ¡CasperFDR: ¡ -­‑ ¡Confiden?ality ¡ NonInjec?veAgreement ¡(I,C,[X,Offer]) ¡ -­‑ ¡Forgery ¡Protec?on: ¡(No ¡Unauthorized ¡Genera?on ¡& ¡No ¡Manipula?on) ¡ -­‑ ¡Unauthorized ¡Copying: ¡(Not ¡Transferable) ¡ ¡ -­‑ ¡Data ¡Integrity ¡ -­‑ ¡No ¡Mul?ple ¡Cash-­‑in ¡ Ali ¡Alshehri ¡2013 ¡

Hash-­‑based ¡M-­‑coupon ¡protocol ¡ /""0#$ !"#$%"&'()*+# ,-".*#$ /5607 ! " '&8&9/5607:&;:&,< '&8&9/5607:&;:&,< 5 1233&34()(#( 12344#$ 1233&34()(#( 12344#$2/5607 =3>!? 6 #*+&%,-./0.'(#()( 12344#$ 1233&34()(#( 12344#$2/56072/56*7 #$%%&'(#()( 12344#$ #$%%&'(#()( 12344#$2/5607 #$%%&'(#()( 12344#$2/56072/56*7 '-++($B 57 '&8&9/5607:&;:&,< #$%%&'(#()( 12344#$ ;&8&/5607& � h[ID(i)] & ,&8&.@&.@/56*7A& � &1& � &344#$&A&&&& Security ¡Requirements: ¡ ¡ In ¡CasperFDR: ¡ -­‑ ¡Confiden?ality ¡ NonInjec?veAgreement ¡(I,C,[X,Offer,ID(u)]) ¡ -­‑ ¡Forgery ¡Protec?on: ¡(No ¡Unauthorized ¡Genera?on ¡& ¡No ¡Manipula?on) ¡ -­‑ ¡Unauthorized ¡Copying: ¡(Not ¡Transferable) ¡ ¡ -­‑ ¡Data ¡Integrity ¡ -­‑ ¡No ¡Mul?ple ¡Cash-­‑in ¡ Ali ¡Alshehri ¡2013 ¡